CSRF 保护 · laravel 5.4

<article><h1>Laravel 下的伪造跨站请求保护 CSRF</h1><ul><li><a href="#csrf-introduction">简介</a></li><li><a href="#csrf-excluding-uris">CSRF 白名单</a></li><li><a href="#csrf-x-csrf-token">X-CSRF-Token</a></li><li><a href="#csrf-x-xsrf-token">X-XSRF-Token</a></li></ul><a name="csrf-introduction"></a><h2><a href="#csrf-introduction">简介</a></h2>Laravel 提供了简单的方法使你的应用免受 <a href="https://en.wikipedia.org/wiki/Cross-site_request_forgery">跨站请求伪造</a> (CSRF) 的袭击。跨站请求伪造是一种恶意的攻击，它凭借已通过身份验证的用户身份来运行未经过授权的命令。Laravel 为每个活跃用户的 Session 自动生成一个 CSRF 令牌。该令牌用来核实应用接收到的请求是通过身份验证的用户出于本意发送的。任何情况下在你的应用程序中定义 HTML 表单时都应该包含 CSRF 令牌隐藏域，这样 CSRF 保护中间件才可以验证请求。辅助函数 <code class=" language-php">csrf_field</code> 可以用来生成令牌字段：<pre class=" language-php"><code class=" language-php"><form method="POST" action="/profile"> {{ csrf_field() }} ... </form></code></pre>包含在 <code class=" language-php">web</code> 中间件组里的 <code class=" language-php">VerifyCsrfToken</code> <a href="/docs/5.4/middleware">中间件</a>会自动验证请求里的令牌 <code class=" language-php">token</code> 与 Session 中存储的令牌 <code class=" language-php">token</code> 是否匹配。<a name="csrf-excluding-uris"></a><h2><a href="#csrf-excluding-uris">CSRF 白名单</a></h2>有时候你可能希望设置一组并不需要 CSRF 保护的 URI。例如，如果你正在使用 <a href="https://stripe.com">Stripe</a> 处理付款并使用了他们的 webhook 系统，你会需要将 Stripe webhook 处理的路由排除在 CSRF 保护外，因为 Stripe 并不知道发送给你路由的 CSRF 令牌是什么。一般地，你可以把这类路由放到 <code class=" language-php">web</code> 中间件外，因为 <code class=" language-php">RouteServiceProvider</code> 适用于 <code class=" language-php">routes/web.php</code> 中的所有路由。不过如果一定要这么做，你也可以将这类 URI 添加到 <code class=" language-php">VerifyCsrfToken</code> 中间件中的 <code class=" language-php">$except</code> 属性来排除对这类路由的 CSRF 保护：<pre class=" language-php"><code class=" language-php"><?php namespace App\Http\Middleware; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * 这些 URI 会被免除 CSRF 验证 * * @var array */ protected $except = [ 'stripe/*', ]; }</code></pre><a name="csrf-x-csrf-token"></a><h2><a href="#csrf-x-csrf-token">X-CSRF-TOKEN</a></h2>除了检查 POST 参数中的 CSRF token 外，<code class=" language-php">VerifyCsrfToken</code> 中间件还会检查 <code class=" language-php">X-CSRF-TOKEN</code> 请求头。你可以将令牌保存在 HTML <code class=" language-php">meta</code> 标签中：<pre class=" language-php"><code class=" language-php"><meta name="csrf-token" content="{{ csrf_token() }}"></code></pre>一旦创建了 <code class=" language-php">meta</code> 标签，你就可以使用类似 jQuery 的库将令牌自动添加到所有请求的头信息中。这可以为您基于 AJAX 的应用提供简单、方便的 CSRF 保护。<pre class=" language-php"><code class=" language-php">$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } });</code></pre><a name="csrf-x-xsrf-token"></a><h2><a href="#csrf-x-xsrf-token">X-XSRF-TOKEN</a></h2>Laravel 将当前的 CSRF 令牌存储在由框架生成的每个响应中包含的一个<code class=" language-php">XSRF-TOKEN</code> cookie 中。你可以使用该令牌的值来设置 X-XSRF-TOKEN 请求头信息。这个 cookie 作为头信息发送主要是为了方便，因为一些 JavaScript 框架，如 Angular，会自动将其值添加到 <code class=" language-php">X-XSRF-TOKEN</code> 头中.<h2>译者署名</h2><table><thead><tr><th>用户名</th><th>头像</th><th>职能</th><th>签名</th></tr></thead><tbody><tr><td><a href="http://weibo.com/wangkaibo">@王凯波</a></td><td><img class="avatar-66 rm-style" src="https://dn-phphub.qbox.me/uploads/avatars/1924_1487053084.jpeg?imageView2/1/w/100/h/100"></td><td>翻译</td><td>面向工资编程 <a href="https://github.com/wangkaibo/">@wangkaibo</a></td></tr></tbody></table></article>